בן 22 הודה באשמה בפרשת גניבת קריפטו בהיקף 245 מיליון דולר

מלון לם, צעיר בן 22, הודה באשמה בפרשה שבה נגנבו מטבעות קריפטו בשווי 245 מיליון דולר. כך מדווחים שני כלי תקשורת מקצועיים בתחום — The Block, בדיווח מ-8 בספטמבר, וקוינטלגרף. לפי The Block, ההודאה נוגעת לחלקו של לם כמי שעמד בראש המערך, והאישום נוסח בעבירות מסוג ארגון פשיעה (racketeering) — סעיף חמור בדין האמריקאי, המשמש כאשר התביעה מבקשת לקשור סדרת עבירות נפרדות לכלל פעילות מאורגנת אחת ולא לאירועים מבודדים.

קוינטלגרף מוסיף פרט על אופי הפעילות: לפי טענת התביעה, לם ארגן רשת בינלאומית שפעלה נגד מחזיקי מטבעות קריפטו בשתי דרכים — הנדסה חברתית מצד אחד, ופריצות לבתים מצד שני. הצירוף הזה, בין תקיפה מרחוק לבין מגע פיזי, הוא מה שמייחד את הפרשה לעומת הונאות רשת רגילות.

הנדסה חברתית: הארנק לא נפרץ, בעליו שוכנע

המונח "הנדסה חברתית" (social engineering) עשוי להישמע טכני, אבל הוא מתאר בדיוק את ההפך מפריצה טכנית. אין כאן שבירה של הצפנה ואין ניצול של פגם בקוד הבלוקצ'יין. התוקף פונה אל האדם עצמו, מתחזה לגורם מוסמך — נציג תמיכה של שירות מוכר, עובד של בורסה, לעיתים אפילו איש אבטחה שמזהיר מפני "פריצה שאירעה זה עתה בחשבונכם" — ומוליך את הקורבן, צעד אחר צעד, לבצע בעצמו את הפעולה שתרוקן את הארנק.

היתרון של התוקף הוא בלחץ הזמן. השיחה בנויה כך שתיווצר תחושת דחיפות: יש להעביר את הכספים "לארנק מאובטח" מיד, יש למסור את צירוף המילים לשחזור כדי "לאמת בעלות". ברגע שהקורבן משתף פעולה, הרישום בבלוקצ'יין נראה תקין לחלוטין — העברה חוקית שאושרה בידי בעל המפתח. אין ממי לדרוש ביטול, ואין חברת אשראי שתחזיר את הכסף.

הצד השני של השיטה, כפי שמתארת התביעה בדיווח קוינטלגרף, מסוכן אף יותר: פריצות לבתים. כאשר מחזיק ידוע כבעל אחזקה גדולה, יש מי שיעדיף לחסוך את שלב השכנוע. זו התזכורת החדה ביותר בפרשה כולה לכך שפרסום פומבי של גודל אחזקה — בקבוצות, בפורומים או בשיחה מזדמנת — הוא סיכון ממשי ולא עניין תיאורטי.

ההודאה אינה סוף ההליך

חשוב לקרוא את הידיעה בגבולותיה. הודאה באשמה במערכת האמריקאית היא שלב בהליך, לא סיומו: המקורות שלפנינו מדווחים על ההודאה עצמה, ואינם מוסרים מהו גזר הדין, מתי ייגזר, או איזה חלק מן הכספים יוחזר לנפגעים — אם בכלל. גם היקף 245 מיליון הדולר מתייחס לשווי המטבעות בעת הגניבה, ולא לסכום שאותר או הוקפא. בפרשות קודמות בתחום, הפער בין הסכום שנגנב לבין הסכום שהוחזר בפועל היה עצום.

ברשתות החברתיות ובדיוני קריפטו מקוונים הופצו בימים האחרונים פרטים צבעוניים על הפרשה — הוצאות ראוותניות של הנאשמים, טעות אבטחה בסיסית שהובילה את הרשויות אל אחד מהם, ומספר הנאשמים הכולל בתיק. אף אחד מן הפרטים האלה אינו מופיע בדיווחים המקצועיים שלפנינו, ואיננו מציגים אותם כעובדה.

הלקח נובע מן השיטה עצמה

כשהתקיפה מכוונת אל האדם ולא אל הטכנולוגיה, גם ההגנה חייבת להיות התנהגותית. שתי מסקנות נגזרות ישירות מן המנגנון שתואר כאן: ראשית, צירוף מילות השחזור של ארנק אינו נמסר לאיש, בשום נסיבות — שום גורם תמיכה לגיטימי אינו מבקש אותו, וכל בקשה כזו היא בעצמה הוכחה להונאה. שנית, כאשר מגיעה פנייה דחופה בעניין חשבון או ארנק, אין להמשיך את השיחה שנפתחה מולכם. מנתקים, ופונים אל השירות ביוזמתכם דרך כתובת שהייתה ברשותכם מראש. הדחיפות היא הכלי המרכזי של התוקף, והשהיה של עשר דקות מפרקת אותו.

מקורות: The Block · Cointelegraph

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.